信任模型，RTP Protocol 文档

合约强制执行什么、每个角色拥有的全部权限、平台层增加了什么，以及已声明的限制在哪里。

由合约强制执行

两条路径都没有升级路径：没有代理合约，没有可升级的 delegatecall，没有自毁，没有可被抢跑的初始化函数。
池流动性没有移除路径；只有毕业合约可以添加流动性。
条款按每次发射记录快照；没有任何设置函数能触及已存在的发射、其根或其储备名单。
拉取式支付受重入保护；交易从不向第三方推送价值。
在 Fixed-Price Launch 上：金库是 FundCore、FundHook 和 FundGraduator 不可变的构造函数参数；投入只接受 ETH，强制转入的 ETH 永远不被计入；结算是原子的且 gas 恒定，任何人都可以结算；退款无需批准。
在 Curve Launch 上：供应量只铸造一次；RtpToken 没有所有者，不能再铸造，没有转账税，没有黑名单。Curve Launch 的金库只有在 7 天公开延迟后才能更换。

完整权限，RTP Curve Launch（v1.0.0-r4）

角色	可以做什么
所有者	添加、启用或停用发射档位；批准计价资产并设置其曲线参数；设置发射费，最高 1 ETH。立即生效，仅适用于新的发射。可立即撤销证明方。
所有者，需延迟	金库、证明方和验证门控的变更须公开等待 7 天。所有者或当前金库可取消金库或证明方变更；只有所有者可取消门控变更。
所有者或金库	在 72 小时公示期内取消待生效的社交账号绑定。
任何人都不能	暂停交易或领取、转移记入他人名下的资金、改动池或升级合约。

已部署的测试网实例。它来自较早的构建（部署于 2026年10月22日）。在下一个实例部署 v1.0.0-r4 之前，其所有者可以暂停新的发射并立即更换金库，证明方变更需等待 2 天，未绑定社交账号的余额可在 60 天后被清扫，所有者与金库是同一地址，且回购销毁引擎和 Lens 尚未部署。

完整权限，RTP Fixed-Price Launch

谁	可以做什么
运营方（平台 Safe）	暂停创建新的固定价格发射。经过 48 小时延迟，且仅针对此后的发射：更改成功费（最高 3%）和团队上限（最高 25%）。经过 48 小时延迟启用收益场所适配器，每个都有固定容量；可立即停用某个适配器，停用只会阻止新的存入。提议新的推荐证明方（7 天）或立即撤销。在 72 小时公示期内取消身份绑定，金库也可以这样做。
每个平台	在编译期上限内设定自己的费用条款和收款方：最高 20% 的池手续费作为其份额、20% 作为推荐预算，最高 0.1 ETH 的创建费，最高 1% 的 FundZap 费用。变更只影响此后的发射；收款方可以随时更换。
任何人都永远不能	暂停交易、投入、退款、领取或结算；转移记入他人名下的资金；改动池；更改已存在的发射；更换金库；升级合约。

平台层控制（RTP.fun 上的 Fixed-Price Launch）

在 RTP.fun 上的展示。任何地址都可以创建发射，因此链上可能存在仿冒的发射。RTP.fun 只将通过名称、代币符号和图标检查的发射显示为已验证；其他发射标注为未验证，且验证状态从不根据链上字段推断。

条款与地区。在 RTP.fun 上，用户和创建者在创建、投入或交易之前，需以免 gas 的钱包签名签署适用条款，且不向受限地区提供参与。这些控制不覆盖直接调用合约或使用其他前端的用户。退款和领取永远不会被阻止。

空投名单规则。名单来自创建者，并由创建者签名。筛查只能移除地址，永远不能添加地址。资格不得取决于买入、持有或推广，且快照先于公告。

设计边界

链上规则无法识别由同一个人控制的多个钱包。团队在公开批次中使用副钱包的情况，由平台层控制处理，并记录在威胁模型中。
签署条款等平台层控制适用于 RTP.fun；它们不覆盖直接调用合约或使用其他前端的用户。
各网络上排序器的行为不在合约控制范围内。设计假设最坏情况下的排序，结算停滞的失败方向是全额退款。

信任假设，RTP Curve Launch

主题	什么成立，什么不成立
开盘税	它提高了在最初几秒内买入的成本。愿意支付的买家仍可在发射区块内买入。
一方，多个角色	链上规则无法区分同一个人的两个地址。同一方可以同时是创建者、平台和推荐人，自我交易的经济影响是被披露的，而非被阻止。
池内的推荐人检查	Hook 只能看到路由合约，因此池内交易将推荐人与交易的发起地址进行比较。
验证档位	它们读取外部证明注册表。该注册表的变化影响新的验证发射和创建者密钥转让，不影响已有余额。
社交账号绑定	它们依赖证明方密钥，以及有人关注 72 小时公示期；所有者或金库可在该窗口内取消绑定，所有者可以撤销证明方。
延迟迁移	如果交接在毕业交易中失败，交易将留在核心合约内的池中，直到任何人完成迁移。
回购销毁	有频率限制和价格带；市场波动时可能不会执行，也不构成价格支撑。
排序器排序	在每个网络上都不在合约控制范围内；设计假设最坏情况下的排序。
已部署实例	测试网实例是较早的构建，带有上文所列的控制。
软件风险	智能合约可能包含未被发现的缺陷。安全审查进行中：多轮内部审查正在进行，外部审计正在安排中。主网部署在各轮审查和一次完整的验证运行之后进行；届时外部审计可能尚未完成，其结果将在完成时公布。

信任假设，RTP Fixed-Price Launch

主题	什么成立，什么不成立
同一人的多个钱包	链上规则无法识别它们。团队成员可以在公开批次中使用另一个钱包；前端必须说明这一点。
按批次的限额	每地址限额在每个批次内计算，不跨批次计算。
部分募集时的团队份额	团队批次加储备的上限是相对于全额募集衡量的；在部分募集时，它们在已售部分中所占的份额更高。
一方，多个角色	同一方可以同时是创建者、平台和推荐人，并获得除协议份额以外的全部池手续费。这是允许的；协议份额保持不变。
平台收款方	平台可以随时更换其收款方；费用数字按每次发射冻结，收款方则不冻结。
身份绑定	它们依赖证明方密钥，以及有人关注 72 小时公示期；运营方可在该窗口内取消绑定，并可撤销证明方。
收益场所	场所可能贬值或拒绝赎回；该风险完全由选择加入的创建者承担。
他人创建的池	已领取的代币可能在官方开盘前被放入其他池。官方池的价格和时间安排不受影响。
排序器排序	在每个网络上都不在合约控制范围内；结算停滞时，失败的结果是全额退款。
软件风险	智能合约可能包含未被发现的缺陷。安全审查进行中：多轮内部审查正在进行，外部审计正在安排中。主网部署在各轮审查和一次完整的验证运行之后进行；届时外部审计可能尚未完成，其结果将在完成时公布。